O preenchimento de credenciais é um ataque de força bruta às contas de usuário de um serviço. Não uma conta específica, mas muitas. Normalmente usando credenciais que foram encontradas em outros hacks. Como usuário, você pode ver via haveibeenpawned.com se uma de suas contas foi comprometida. Muito provavelmente, foi. Vamos aprender o que você pode fazer!

Por que você deve se importar

• Credential Stuffing faz parte de “Broken Authentication” e, portanto, número 2 no OWASP Top 10 ( fonte )
• 2020: US$ 3,5 milhões em saques fraudulentos de cheques com preenchimento de credenciais ( mais detalhes )
• 2020: cerca de 500.000 credenciais de usuários do Zoom foram encontradas com preenchimento de credenciais ( fonte )
• 2020: “Os setores de varejo, viagens e hospitalidade atraíram surpreendentes 63% dos ataques de preenchimento de credenciais” de acordo com a Akamai.
• 2021: AVM (FritzBox) registra muitos ataques de preenchimento de credenciais ( fonte )

1. O invasor obtém uma lista de credenciais válidas , por exemplo (nome de usuário, senha) para milhões de pessoas. Há muitos vazamentos .
2. O invasor os testa em grandes serviços (Gmail, Facebook, Twitter, Bancos, Reddit, …)

Como posso me defender contra um ataque de preenchimento de credenciais?

Como usuário, existem duas medidas de defesa perfeitas:

1. Senhas fortes : Boas senhas podem parecer diferentes do que você pensa. Mas é fácil gerar senhas fortes memorizáveis .
2. Senhas exclusivas : não compartilhe senhas entre serviços. Nunca.

Como prestador de serviços, as defesas não são perfeitas e mais complicadas:

• Limitação de taxa : se um único IP fizer muitas tentativas de senha inválida, reduza a velocidade desse IP. Por exemplo, peça que eles resolvam um CAPTCHA primeiro. Ou diga a eles que eles não têm permissão para fazer login nos próximos 30 segundos. Esteja ciente de que isso também pode bloquear usuários válidos, por exemplo, em escolas ou outras redes abertas maiores.
• Web Application Firewalls (WAF) : Isenção de responsabilidade completa aqui: não tenho experiência prática aqui. Ouvi falar de “Defesa proativa de bots”, que também pode ser interessante para outros cenários de ataque. No entanto, certamente também tem problemas para detectar todos os ataques (Falsos-Negativos) e bloquear apenas ataques (Falsos-positivos).
• Autenticação de dois fatores (2FA) : Forçar o usuário a usar um segundo fator torna muito menos provável que o preenchimento de credenciais funcione, mesmo se o usuário compartilhar senhas com um serviço vulnerável e mesmo quando a senha for fraca.
• Single-Sign-On (SSO) : permitir que outro serviço lide com a autenticação evita todos esses aborrecimentos. Uma variante que é bem conhecida é o “login social”. Isso é simplesmente SSO por grandes sites sociais como Facebook, Twitter, Github ou LinkedIn.
• Verifique as senhas dos usuários quanto a violações : haveibeenpawned permite verificar se as combinações de credenciais estão em violação.

10 dicas para parar ataques de preenchimento de credenciais

Qual é o próximo?

Nesta série sobre segurança de aplicativos (AppSec) já explicamos algumas das técnicas dos atacantes e também técnicas dos defensores :

• Parte 1: Injeções de SQL
• Parte 2: Não vaze Segredos
• Parte 3: Script entre sites (XSS)
• Parte 4: Hashing de senha
• Parte 5: Bombas ZIP
• Parte 6: CAPTCHA
• Parte 7: Falsificação de e- mail
• Parte 8: Análise de Composição de Software (SCA)
• Parte 9: Ataques XXE
• Parte 10: Controle de Acesso Eficaz
• Parte 11: DOS através de um bilhão de risadas
• Parte 12: Criptografia de disco completa
• Parte 13: desserialização insegura
• Parte 14: Segurança do Docker
• Parte 15: Preenchimento de credenciais

• CSRF
• DOS
• ReDoS
• Criptojacking
• Logon único
• Autenticação de dois fatores
• Backups